Kenapa daftar exchange harus kasih KTP segala
Apa itu KYC dan AML, kalau nggak dilakukan gimana

Pop-up "silakan upload KTP" itu

Banyak orang pertama kali daftar exchange, selesai isi email, semangat mau deposit, eh dihadang satu pop-up: silakan upload KTP depan-belakang, lalu rekam video wajah. Reaksi pertama biasanya menolak: "aku cuma mau beli koin sedikit, kenapa harus kasih KTP? Mau mengawasi aku ya?"

Penolakan itu wajar, tapi arahnya agak meleset. Yang mewajibkan kamu melakukan ini, pada hakikatnya bukan suatu exchange yang "ingin tahu tentang kamu", tapi aturan hukum di atas kepalanya. Begitu kamu paham KYC dan AML itu apa dan untuk siapa, kamu baru bisa membedakan "mana alur kepatuhan yang wajib diikuti" dan "mana jebakan phishing yang berkedok kepatuhan". Yang kedua itulah yang benar-benar bisa mencelakaimu.

KYC dan AML masing-masing apa, kenapa ada

Dua singkatan ini sering muncul bareng, tapi bukan hal yang sama. Hubungannya seperti "tujuan" dan "cara":

• AML = Anti-Money Laundering (anti pencucian uang), ini tujuannya. Ia satu set aturan dan regulasi untuk mencegah hasil kejahatan (penipuan, narkoba, pendanaan terorisme, dll) "dicuci" lewat sistem keuangan jadi uang yang terlihat sah.
• KYC = Know Your Customer (kenali pelangganmu), ini salah satu caranya. Untuk mencapai tujuan anti pencucian uang, platform harus tahu dulu "siapa sebenarnya yang memakai layananku", jadi mewajibkan kamu verifikasi identitas.

Dengan kata lain: karena aturan AML mewajibkannya, platform mau nggak mau melakukan KYC. Ini logika yang sama dengan saat kamu buka rekening bank atau aktivasi kartu SIM yang harus registrasi identitas, exchange crypto cuma dimasukkan ke kerangka regulasi yang sama. Kalau ia nggak memverifikasi identitas user, ia bisa menghadapi denda besar, lisensi dicabut, bahkan ditutup; saat itu terjadi, user yang dananya masih di platform seperti itu posisinya cuma akan makin buruk.

Di sisi platform, AML biasanya tampak sebagai: memantau transfer dengan nominal anomali atau frekuensi anomali, menandai pola mencurigakan, membekukan akun bila perlu dan melapor ke regulator sesuai hukum (di Indonesia, misalnya, ke PPATK), serta membantu penegak hukum melacak dana kejahatan. Tindakan ini menyasar "aliran dana yang mencurigakan", bukan mengintai jual-beli harian tiap user biasa.

KYC kira-kira prosesnya gimana

Detailnya beda tiap platform, tapi biasanya berjenjang menurut limit, makin banyak yang diverifikasi makin lengkap fitur yang bisa dipakai:

Semua prosesnya online. Lama review dan besar limit beda di tiap exchange; yang bisa kamu kendalikan adalah kualitas kirimanmu: KTP utuh masuk bingkai, tanpa sampul plastik dan tanpa pantulan cahaya, nama dan tanggal lahir di akun sama persis dengan yang tertulis di KTP, selfie dengan cahaya dari depan. Kalau ditolak, aplikasi biasanya menampilkan alasannya; perbaiki persis bagian itu, lalu kirim ulang dari aplikasi yang sama. Sebelum menyerahkan KTP ke exchange mana pun, cek dulu namanya di daftar pedagang aset kripto berizin OJK (caranya ada di bagian perbedaan antar wilayah). Satu prinsip yang nggak berubah: langkah-langkah ini cuma dilakukan di App resmi atau website resminya.

Kalau nggak KYC gimana

Tergantung platform yang kamu pakai jenisnya apa:

Jadi "nggak KYC" di CEX sering bukan berarti "lebih bebas", tapi "uang bisa masuk tapi nggak bisa keluar"; di DEX, walau bebas KYC, kamu sekaligus melepaskan customer service, jalur fiat masuk, dan kemungkinan memulihkan akun, seluruh risiko self-custody ditanggung sendiri. Keduanya punya konsekuensi masing-masing, nggak ada makan siang gratis yang "mau ini mau itu".

Perbedaan antar wilayah

Persyaratan KYC/AML ditentukan regulator tiap wilayah, jadi platform yang sama di negara/wilayah berbeda, fitur yang bisa diaktifkan, dokumen yang harus diserahkan, bahkan bisa daftar atau nggak, semuanya bisa berbeda. Ada wilayah yang regulasi crypto-nya ketat, mewajibkan verifikasi identitas dan batasan limit; ada yang relatif longgar; ada juga yang langsung membatasi atau melarang sebagian layanan.

Di Indonesia, pengawasan aset kripto pindah dari Bappebti ke OJK sejak 10 Januari 2025 lewat POJK 27/2024. Aturan itu mewajibkan pedagang aset kripto menjalankan KYC dan program anti pencucian uang (APU-PPT), melindungi data pribadi, dan memisahkan dana nasabah. Daftar yang berizin ada di halaman perizinan aset kripto OJK; per 13 Agustus 2026 isinya 27 pedagang, antara lain Indodax, Tokocrypto, Pintu, Reku, dan Luno. Cocokkan nama perusahaan, nama aplikasi, dan alamat websitenya sekaligus, karena situs tiruan sering memakai domain yang mirip. Binance tidak ada di daftar itu; sejak Juni 2026 namanya justru tercantum di daftar pedagang aset keuangan digital (PAKD) ilegal yang dirilis Satgas PASTI OJK.

Ini berarti dua hal: pertama, jangan jadikan pengalaman orang lain di negara lain sebagai standar di tempatmu; kedua, memakai trik teknis untuk menyamarkan wilayah demi menerobos batasan biasanya melanggar ketentuan platform, dan begitu ketahuan, akun beserta aset di dalamnya bisa dibekukan. Konkretnya mengikuti regulasi di wilayahmu dan penjelasan resmi platform.

Kekhawatiran privasi dan keamanan dokumen

"Memfoto KTP ke platform itu aman nggak sih" adalah kekhawatiran yang wajar, dan nggak boleh diselesaikan asal dengan kalimat "demi kepatuhan ya ikuti saja". Jujur saja: kamu memang menyerahkan informasi sensitif, risikonya nggak bisa nol, tapi bisa ditekan signifikan.

Data KTP-ku bocor, harus gimana?

1. Ganti password email dan akun exchange, lalu pindahkan 2FA ke aplikasi authenticator atau passkey, jangan cuma SMS.
2. Bersiap menghadapi penipuan yang menyasarmu langsung: telepon atau WhatsApp dari "CS" yang tahu nama lengkap dan NIK-mu, lalu minta kode OTP, password, atau transfer "untuk mengamankan akun". Exchange dan bank nggak pernah meminta itu. Tutup, lalu hubungi CS lewat aplikasi resminya sendiri.
3. Kalau muncul pinjaman, rekening, atau akun atas namamu yang nggak pernah kamu buat, buat laporan polisi lewat patrolisiber.id atau datang ke SPKT Polsek/Polres, dan minta STTLP sebagai tanda terima. Surat itu jadi bukti bahwa datamu dipakai orang lain. Untuk pengaduan terkait lembaga jasa keuangan, hubungi Kontak OJK 157 (telepon 24 jam) atau konsumen@ojk.go.id.
4. Kalau sudah terlanjur mentransfer uang ke penipu, hubungi bank atau penyedia e-wallet-mu saat itu juga dan minta rekening tujuan diblokir, lalu lapor ke iasc.ojk.go.id dengan foto KTP, kronologi kejadian, bukti transfer, screenshot chat, dan nomor rekening penipu. IASC tidak memungut biaya; orang yang menawarkan "bantu urus laporan" dengan bayaran adalah penipu.

Pastikan kamu di halaman resmi, dokumen ke tangan yang benar

Sebelum upload dokumen apa pun, sempatkan satu menit melakukan dua hal ini, bisa menangkal hampir semua risiko penyalahgunaan dokumen:

1. Pastikan kamu sebenarnya di halaman mana. Lakukan KYC hanya lewat App exchange di HP-mu atau bookmark sendiri; jangan klik link asing atau link dari DM "customer service" untuk lompat ke sana. Situs phishing dibuat nyaris identik dengan website resmi, jadi cara paling aman adalah tidak masuk dari link yang diberikan orang lain.
2. Pahami regulator mengatur apa, biar ada timbangan di kepala. Standar anti pencucian uang berasal dari organisasi internasional seperti FATF (Financial Action Task Force, fatf-gafi.org); di Indonesia, pedagang aset kripto diberi izin dan diawasi OJK (POJK 27/2024), laporan transaksi mencurigakan masuk ke PPATK, dan aktivitas keuangan ilegal ditindak Satgas PASTI. Dengan tahu "kewajiban verifikasi identitas itu didorong aturan publik ini", kamu lebih mudah mengenali: alur resmi cuma terjadi di dalam platform resmi, dan apa pun yang "menyuruhmu upload dokumen ke pihak ketiga" itu anomali.

Ragu sebuah exchange atau "petugas verifikasi" itu asli? Tanyakan ke Kontak OJK 157 (telepon 24 jam; WhatsApp 081-157-157-157 setiap hari pukul 07.45–16.50 WIB), atau laporkan ke Satgas PASTI lewat sipasti.ojk.go.id.

Peringatan anti-scam: jangan cari jasa joki KYC

Salah kira soal KYC dan verifikasi identitas

Siapa yang lebih perlu peduli soal ini

FAQ